本記事は、Security Research & Defense のブログ “ Assessing risk for the October 2014 security updates ” (2014 年 10 月 15 日公開) を翻訳した記事です。
本日、24 件の個別の CVE を解決する 8 件のセキュリティ情報をリリースしました。セキュリティ情報の内、3 件は最大深刻度が「緊急」、5 件が「重要」です。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。
| セキュリティ情報 | 最も起こりうる攻撃 | セキュリティ情報最大深刻度 | 最大悪用可能性指標 | プラットフォーム緩和策、および特記事項 |
|---|---|---|---|---|
| MS14-058(カーネル モード ドライバー [win32k.sys]) | 攻撃者が Office ドキュメント、または Web ブラウザを利用してユーザーのコンピューターに悪意のあるフォントをロードし、その結果、リモートでコードが実行される。 | 緊急 | 0CVE-2014-4148 および CVE-2014-4113 の悪用が確認されています。CVE-2014-4148 は、リモートコード実行に利用されました。CVE-2014-4113 は特権の昇格に利用されました。 | NULL ページ マッピングの緩和策 (Windows 7 で設定可能、Windows 8 以降では既定で有効) が有効であれば、32 ビット プラットフォームで CVE-2014-4113 は悪用できません。 |
| MS14-056(Internet Explorer) | 被害者が悪意のある Web ページを閲覧する。 | 緊急 | 0CVE-2014-4123 の悪用が確認されています。サンドボックス エスケープとして利用されました。 | この更新プログラムが解決するリモートコード実行の脆弱性に対する、積極的な攻撃は確認されていません。 |
| MS14-057(.NET Framework) | 攻撃者が脆弱な Web アプリケーションに対して悪意のあるデータを送信する。 | 緊急 | 1 | |
| MS14-060(Windows OLE コンポーネント) | 被害者が、悪意のある実行ファイルを実行するように脆弱性を悪用する、悪意のある Office ドキュメントを開く。(#1) | 重要 | 0CVE-2014-4114 の悪用が確認されています。 | 非管理者アカウントの使用、または UAC を「常にプロンプトする」に設定することで、脆弱性の影響を緩和できます。 |
| MS14-061(Word) | 被害者が悪意のある Word ドキュメントを開く。 | 重要 | 1 | |
| MS14-062(カーネル モード ドライバー [msmq.sys]) | 低い権限でコードを実行している攻撃者が、SYSTEM に昇格するために悪用バイナリを実行する。 | 重要 | 1 | この脆弱性は、Windows Server 2003 にのみ影響を与えます。 |
| MS14-063(カーネル モード ドライバー [fastfat.sys]) | 重要 | 2 | 物理的に、コンピューターに USB スティックを挿す機能が必須です。 | |
| MS14-059(ASP.NET MVC) | 被害者が悪意のあるリンクを開く。 | 重要 | 3 | クロス サイト スクリプティングの脆弱性です。既定で、インターネット ゾーンの IE8-IE11 で有効な XSS フィルターが、この脆弱性を悪用しようとする試みを阻止します。 |
#1: Office ドキュメントに限らず、特別に細工された OLE オブジェクトを含んだ添付ファイルを開かせます。多くの種類の添付文書に、そのような OLE オブジェクトが含まれる可能性があります。すべての種類の Office のファイルおよび多くのサード パーティのファイルの種類に、悪質な OLE オブジェクトが含まれる恐れがあります。
ジョン・バイアレク、およびスハ・カーン、MSRC エンジニアリング
更新履歴:
2014/10/16: ドキュメントの種類を明確にするために、#1 を追加しました。